根据媒体报道，据不完全统计，截至2023年10月，中国电动汽车制造商已经在泰国投资14.4亿美元，多家车企宣布在东南亚建厂，部门车企在东南亚新建的工厂已经开始投产，中国汽车在东南亚市场的触角正在延伸。
东南亚市场机会巨大，但同时存在着诸多挑战和风险，其中包括数据合规管理的挑战。在汽车设计、生产、销售、使用、运维等过程中，必然存在着数据处理工作，必然涉及到个人信息等数据，不当处理个人信息会给企业带来难以承受的法律后果。如何安全合规地对个人信息等数据进行管理，是汽车出海前需要提前规划和考虑的问题。本文将分析车企出海热门目的地之一——泰国的个人数据保护规定，以期帮助车企了解泰国个人数据保护合规要点。
2019年5月泰国公布《个人数据保护法》（PDPA），是泰国颁布的第一部针对数据保护以及个人数据存储的专门法律，该法已于2022年6月1日正式生效。在PDPA发布之后，泰国又发布了一系列配套规定，以明晰PDPA部分规定的适用细则。
本文在梳理泰国相关个人数据保护相关规定后，建议车企遵循以下规则确保自身符合泰国个人数据保护的要求。
企业主体收集、使用、披露个人数据，或接受命令收集、使用、披露个人数据，只要符合以下任何一项情形，即应当遵守PDPA规定：
1.企业主体在泰国境内；
2.泰国境外企业在泰国境内收集、使用或披露个人数据，并且：
（1）向泰国境内数据主体提供商品或服务（无论是否付款）；
（2）监测到数据主体的行为发生在泰国；
汽车在使用过程中通过汽车传感设备、控制单元采集的数据，就会存在对数据主体信息的收集和后续使用、披露等行为，车企或系统、服务供应商在销售、服务的过程中，也会存在对泰国境内数据主体的数据收集、使用、披露的行为。无论车企出海方式是整车出口，还是在当地投资设厂，都不可避免地存在企业主体本身在泰国境内或数据处理行为发生在泰国境内、服务当地用户的情况，因此，我国汽车出海泰国，相关企业应当遵守PDPA的规定。
02企业直接收集或通过汽车传感设备、控制单元采集个人数据，均应先获得数据主体的同意。
PDPA规定了企业不需要获得数据主体同意收集个人数据和敏感个人数据的例外情形，但综合汽车相关企业的数据收集、使用、披露数据行为来看，较难落入PDPA允许未经同意收集个人数据的例外情形中，因此，笔者建议，无论企业是直接向数据主体收集个人数据、还是通过汽车传感设备、控制单元采集个人数据，均应当按照PDPA的要求，首先获得数据主体的同意。获得数据主体同意的具体要求如下：
1.以明显区别其他事项的方式提出许可请求；
2.告知收集、使用或披露个人数据的目的、必要性、使用期限、可能对外披露的主体类别、数据主体依法享有的权利、企业或企业代表、DPO的联系方式；
3.取得数据主体完全自愿的、以书面声明或电子方式明确作出的同意，例如，车企可以通过使用数据主体的用户名和密码、电子签名、生物识别数据或任何其他电子方式获得同意；
4.保障数据主体随时可以简单易行地撤回许可的权利；
5.数据主体撤回许可，不得影响数据主体已合法授予的个人数据收集、使用或披露，一旦撤回许可会影响数据主体，应当告知撤回许可的后果。
03企业使用、披露个人数据，应当保存使用、披露个人数据的记录。
企业使用、披露个人数据，应当以获得数据主体同意为前提，并且应当保存使用或披露个人数据的记录。
04企业要完成个人数据的跨境传输，需要由集团企业制定获得监管部门认可的个人数据保护政策，或采取经监管部门认可的适当保障措施。
目前泰国暂未将中国纳入为其认可的采取了充分个人数据保护措施的国家白名单，而我国汽车出海企业尤其是集团企业，基于数据存储、数据管理等需要，往往存在跨国数据传输的需求。对于泰国境内的个人数据，出海车企应着手制定个人数据保护政策，政策内容应当对企业集团每个相关成员具有约束力、包含有关跨境传输的个人数据所属个人的权利和投诉的条款、包含PDPA项下个人数据保护和安全措施的最低标准等，以获得泰国个人数据保护委员会办公室对政策的个人数据保护政策认可，顺利开展个人数据跨境传输。如果没有经认证的具有约束力的公司规则，企业需要进行个人数据的传输，则需要通过签订标准合同或获得认证的方式来满足跨境传输的合规要求。
为了实现特定功能，在泰国销售的汽车使用过程中往往存在收集个人生物识别数据等情况，而且在收集、使用数据过程中，车企掌握着大量的个人数据信息，按照PDPA的要求，建议车企指定数据保护官，由数据保护官履行提供建议、调查表现、协调与合作等职责。车企应向数据主体和泰国个人数据保护委员会办公室提供数据保护官的联系地址和联系方式。
汽车企业是中国企业走向国际的重要力量，车企出海东南亚国家之前，应当充分了解当地数据合规要求，提前做好合规部署，避免因合规问题承担法律责任，遭受重大损失。作为广东省涉外律师事务所，天商所将基于长期的服务经验和专业积累，做好汽车行业和相关产业链的服务工作，全力支持汽车企业走出去，全力支持我国汽车行业在海外蓬勃发展。
·广东天商律师事务所合伙人、管委会副主任、业务建设工作委员会主任、数据合规中心主任
胡嘉雯律师现任广东省法学会律师学研究会理事，入选广东省涉外律师新锐人才库、省级数据资产登记合规委员会，市级党政机关外聘法律顾问库；担任广州国际商贸商事调解中心调解员；连续多年担任市级政务服务数据管理部门常年法律顾问；曾任市级律协专业委员会和工作委员会委员、市级律师代表大会律师代表。胡嘉雯律师持续深入研究数据合规、数据交易领域，发表数据交易和公共数据授权运营等内容的相关专题文章；为多个市、区级党政机关、企事业单位提供法律服务和合规法律服务，为合规案件决策、处理、监管等事项提供法律服务，为法律事项提供合法性审查意见，提供合法、合规建设法律服务，提供数据合规、数据安全等方面的法律讲座；代理多起民商事案件、行政案件，有丰富的诉讼争议解决经验和非诉讼争议解决经验。
